CVE-2026-48160

Nome do Software Vulnerável e Versões Afetadas react-tracked (versões afetadas não especificadas)

Descrição Commits maliciosos foram introduzidos no branch padrão do repositório, os quais executam código controlado por um invasor remoto em estações de trabalho de desenvolvedores durante o processo npm install. O ataque utiliza um script postinstall vinculado ao arquivo src/install.js que busca um payload de JavaScript de um endpoint HTTPS controlado pelo invasor, desativa a verificação TLS e avalia a resposta como código. A execução é especificamente projetada para atingir máquinas de desenvolvedores, ignorando ambientes de CI e nuvem ou serverless. Isso pode levar ao comprometimento total de qualquer recurso acessível a partir de um processo Node com as permissões do usuário.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade. Rotacione todas as credenciais acessíveis a partir da máquina afetada. Audite a atividade da conta desde 18-05-2026. Limpe todos os clones locais, forks e URLs de SHA direto do repositório.